CVE-2026-49458
Təsvir
DOMPurify HTML, MathML və SVG üçün yalnız DOM əsaslı saytlararası skriptinq (XSS) təmizləyicisidir. 3.4.6 versiyasından əvvəl DOMPurify.sanitize(node, { IN_PLACE: true }) eyni mənşəli kənar-realms DOM düyünlərini qəbul edirdi, lakin növbəti yoxlamalar valideyn-realm konstruktorlarından istifadə etdiyi üçün formalar, adlandırılmış düyün xəritələri, sənəd fraqmentləri və elementlər üçün instanceof yoxlamaları uğursuz olurdu. Bu da clobber, template-content və shadow-DOM təmizləmə budaqlarının ötürülməsinə səbəb olurdu və nəticədə icra oluna bilən markap qoruya bilirdi. Bu problem 3.4.6 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- cure53 dompurify3.4.6 və ya daha yeni versiya
- dompurify3.4.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cure53 dompurify | v < 3.4.6 | 3.4.6 |
| dompurifynpm | v < 3.4.6 | 3.4.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.